Hirudo menja bankarske aplikacije radi zaobilaženja provera
ThreatFabric je otkrio Android bankarski trojanac Hirudo, koji zamenjuje legitimne aplikacije sa osam indonežanskih banaka namenski izmenjenim kopijama. Operacija obuhvata krađu akreditiva, daljinsko upravljanje uređajem, snimanje ekrana i kamere, kao i krađu SMS poruka, dok se mete za prikupljanje pristupnih podataka nalaze u Indoneziji, Kini, Indiji, Meksiku, Maroku i Tajlandu.
Posebnost ovog slučaja nije samo preuzimanje uređaja, već pokušaj da se bezbednosne provere zaobiđu iz same bankarske aplikacije. Tako napadač ne zavisi isključivo od obmana u korisničkom interfejsu, već menja aplikaciju koju korisnik smatra poznatom i legitimnom.
Lažno ažuriranje kao put do instalacije
Hirudo se distribuira kroz aplikacije za kupovinu, video sadržaj i zabavu, među kojima su Shopora, 1V1 X, KoiShort i ZoyaTV. Te aplikacije korisniku prikazuju stvaran sadržaj u WebView komponenti, poput prodavnice, video-kataloga ili kratkih drama, dok u pozadini proveravaju da li su Hirudo i njegove dozvole već aktivni.
Kada trojanac nije prisutan, korisnik dobija lažni poziv za interno ažuriranje. Hirudo se potom instalira kao zasebna aplikacija i zahteva sopstvene dozvole. U zavisnosti od mamca, može da prikaže lažne forme za prijavu u banke i novčanike, ekrane za unos platnog PIN-a ili preklapanja koja imitiraju šablon i PIN zaključanog ekrana.
Malver pre instalacije može da postavi namerno nefunkcionalnu VPN vezu kako bi ograničio pristup internetu. ThreatFabric ocenjuje da taj postupak pre smanjuje delotvornost mrežnih provera reputacije i analize koda nego što u potpunosti zaobilazi Google Play Protect, koji ima i mehanizme detekcije bez mrežne veze.
Izmenjena kopija skriva tragove kompromitacije
Hirudo preko usluge pristupačnosti prepoznaje instaliranu bankarsku aplikaciju, proverava njen sertifikat za potpisivanje i prikazuje lažni zahtev za ažuriranje. Otvara Android program za uklanjanje originalne aplikacije, dok paralelno preuzima kopiju prilagođenu konkretnoj banci.
Ta kopija sadrži mehanizam za presretanje provera potpisa, aktivnih usluga pristupačnosti, snimanja ekrana i Play Integrity sistema. Može da vrati pravi sertifikat originalne aplikacije, prikaže praznu listu uključenih usluga pristupačnosti i ukloni oznaku FLAG_SECURE, čime se ekrani aplikacije mogu posmatrati i snimati na daljinu.
Sertifikati za potvrdu ključa ponovo se potpisuju ugrađenim javno procurelim keybox paketom. Zahtevi za Play Integrity prosleđuju se običnim HTTP-om ka serveru pod kontrolom operatera, koji vraća odgovor što ga aplikacija prihvata. Zbog toga validan odgovor o integritetu sam po sebi nije dokaz da aplikacija nije menjana.
Zaključak za organizacije
Banke i drugi pružaoci finansijskih usluga treba da pretpostave da lokalne signale na kompromitovanom uređaju može oblikovati napadač. Provere potpisa, integriteta i bezbednosnog stanja aplikacije potrebno je potvrđivati na serverskoj strani, uz praćenje iznenadne zamene aplikacije, neuobičajenih dozvola i rizičnih obrazaca registracije uređaja. Takva kontrola smanjuje oslanjanje na podatke koje izmenjena aplikacija može lažno predstaviti.